如何在Play [2.0]中使用Scala防止CSRF？

Question

许多Web框架都有一个标准设置,用于使用auth令牌生成表单.

我是否必须手动创建此类措施,或者Play是否采用了防止CSRF的方法？

Play网站上的文档似乎没有解决这个问题.

Answer 1

我使用play2-authenticitytoken模块:

真实性令牌是围绕最严重的互联网安全威胁之一:CRSF攻击.它确保提交表单的客户是收到该页面的人(而不是窃取会话数据的黑客).

这个怎么运作:

简而言之:

1. 在每个表单帖子中,我们添加一个包含uuid的隐藏参数
2. uuid已签名,其签名存储在会话中(转换为cookie)

当用户提交表单时,我们得到:uuid,签名和其他表单输入.

1. 我们再次签署传入的uuid
2. 如果签名匹配则验证通过(session.sign = uuid.sign)

如果攻击者注入了不同的id,他将永远不知道如何生成正确的签名.

Answer 2

为了完整起见,我在Scala for Play 2.0中有一个例子

• https://github.com/jacobgroundwater/Scala-Play-CSRF

此方法还使用cookie +隐藏字段方法.

示例用法

使用该SessionKey操作来帮助签署表单:

object Application extends Controller {
    def login = SessionKey{ (key,signature) => 
        Action { implicit request =>
            Ok( views.html.login(signature) ).withSession( key->signature )
        }
    }
}

解析表单时,使用以下内容检查签名:

object Authenticator extends Controller {
    def login = ValidateForm{ 
        Action { implicit request =>
            Ok( views.html.index("You're Loggd In") )
        }
    }   
}

Answer 3

自Play 2.1以来,在框架中支持这一点.Nick Carroll写了一篇关于如何使用它的好文章:

http://nickcarroll.me/2013/02/11/protect-your-play-application-with-the-csrf-filter/